symfony 默认 json 登录基于 session cookie 实现，无需手动传递 token；若需无状态 token 认证（如纯 rest api），应自定义 authenticator 并使用 uuid 等安全令牌，通过请求头（如 x-auth-token）验证用户身份。
symfony 默认 json 登录基于 session cookie 实现，无需手动传递 token；若需无状态 token 认证（如纯 rest api），应自定义 authenticator 并使用 uuid 等安全令牌，通过请求头（如 x-auth-token）验证用户身份。
在构建现代 Web 应用时，尤其是前后端分离架构（如 Vue/React + Symfony API），认证方式的选择直接影响安全性、可扩展性与用户体验。Symfony 官方文档中的 JSON Login 示例 默认启用的是 基于 Session 的认证：用户首次登录成功后，服务端创建 Session 并返回 Set-Cookie 响应头，后续请求浏览器自动携带该 Cookie，Symfony 通过 session_id 关联用户身份——因此你调用 $this->denyAccessUnlessGranted('IS_AUTHENTICATED_FULLY') 能持续生效，而无需额外传 Token。
但这对真正的 RESTful API 并不理想：
✅ Session 认证适用场景：传统单页应用（SPA）能可靠存储并发送 Cookie（且启用 SameSite=Lax/Strict + Secure），或同域前后端部署；
❌ Session 认证局限性：移动端 App、跨域调用、无 Cookie 支持环境（如某些 CLI 工具）无法复用 Session，违背 REST 无状态原则。
此时，应切换为 Token-Based 认证。Symfony 不内置“开箱即用”的 JWT 或 API Token 方案，但提供了高度灵活的 Custom Authenticator 机制（推荐用于 Symfony 5.4+ / 6.x+）。以下是完整实践路径：
1. 创建自定义 Token 认证器
以下是一个轻量级 API Key 风格认证器示例，它从 X-AUTH-TOKEN 请求头中提取令牌，并交由 User Provider 解析用户：
// src/Security/ApiKeyAuthenticator.php
namespace App\Security;
use Symfony\Component\HttpFoundation\JsonResponse;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Core\Exception\CustomUserMessageAuthenticationException;
use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Passport;
use Symfony\Component\Security\Http\Authenticator\Passport\SelfValidatingPassport;
class ApiKeyAuthenticator extends AbstractAuthenticator
{
public function supports(Request $request): ?bool
{
return $request->headers->has('X-AUTH-TOKEN');
}
public function authenticate(Request $request): Passport
{
$token = $request->headers->get('X-AUTH-TOKEN');
if (empty($token)) {
throw new CustomUserMessageAuthenticationException('Missing X-AUTH-TOKEN header');
}
// 将令牌作为用户标识符（实际项目中应查数据库或缓存）
return new SelfValidatingPassport(new UserBadge($token));
}
public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewallName): ?Response
{
return null; // 继续请求流程
}
public function onAuthenticationFailure(Request $request, AuthenticationException $exception): ?Response
{
return new JsonResponse([
'error' => 'Invalid or expired token',
], Response::HTTP_UNAUTHORIZED);
}
}⚠️ 注意：
UserBadge($token)仅作示意。真实场景中，你需要在UserProvider（如App\Security\UserProvider）中实现loadUserByIdentifier()方法，根据 Token 查询关联的User实体（例如：SELECT * FROM users WHERE api_token = ? AND is_active = 1），并确保 Token 是加密存储（如password_hash($uuid, PASSWORD_ARGON2ID)）且具备过期逻辑。
dmap-jsapi-skill下载DMap GL地图JSAPI（dmapgl）开发指南。用于编写、审查、调试 DMap 地图 API 代码，涵盖地图初始化、覆盖物渲染、图层管理、事件处理、控件交互等任务。当用户提及 dmap、dmapgl、jsapi‑gl 或相关地图开发需求时自动触发。
2. 注册认证器并配置防火墙
在 config/packages/security.yaml 中启用该认证器，并禁用默认的 json_login（避免冲突）：
# config/packages/security.yaml
security:
enable_authenticator_manager: true # 必须启用新式认证管理器
firewalls:
api:
pattern: ^/api
security: true
stateless: true # 关键！禁用 Session，强制无状态
custom_authenticators:
- App\Security\ApiKeyAuthenticator
# 移除 json_login、form_login 等有状态认证方式3. 登录接口：生成并返回安全 Token
在登录控制器中，验证凭证后生成 UUID Token 并持久化（建议使用 ramsey/uuid）：
// src/Controller/Api/AuthController.php
use Ramsey\Uuid\Uuid;
public function login(Request $request): JsonResponse
{
$data = json_decode($request->getContent(), true);
$user = $this->userRepository->findOneBy(['email' => $data['email']]);
if (!$user || !password_verify($data['password'], $user->getPassword())) {
return new JsonResponse(['error' => 'Invalid credentials'], Response::HTTP_UNAUTHORIZED);
}
// 生成并保存安全 Token（示例：UUIDv4 + 加密哈希）
$token = Uuid::uuid4()->toString();
$hashedToken = password_hash($token, PASSWORD_ARGON2ID);
$user->setApiToken($hashedToken);
$this->em->flush();
return new JsonResponse(['token' => $token], Response::HTTP_OK);
}✅ 最佳实践建议：
- Token 存储使用 Argon2id 哈希（非明文）；
- 为 Token 添加过期时间字段（如
api_token_expires_at），并在UserProvider中校验；- 登录成功后清除旧 Token，防止重放；
- 生产环境始终通过 HTTPS 传输 Token；
- 考虑使用 LexikJWTAuthenticationBundle 替代自定义方案（适合需要标准 JWT 的场景）。
总结而言，Symfony 的 JSON 登录“默认走 Session”并非缺陷，而是设计权衡——它兼顾了传统 Web 应用的简易性。而通过 custom_authenticators + stateless: true，你能无缝过渡到真正面向 API 的 Token 认证体系，既保持 Symfony 安全组件的强大能力，又满足现代分布式架构的需求。
